DSGVO-konformes CRM: Server in Deutschland, AVV inklusive
Kundendaten enthalten personenbezogene Daten. Portario läuft auf Servern in Deutschland, wird von einem deutschen Anbieter betrieben und bringt den Auftragsverarbeitungsvertrag mit.
Wer ein CRM einführt, verarbeitet personenbezogene Daten und braucht dafür nach Art. 28 DSGVO einen Auftragsverarbeitungsvertrag mit dem Anbieter. Bei vielen internationalen Anbietern beginnt an dieser Stelle die Suche nach dem richtigen Formular, gefolgt von der Frage, wohin die Daten eigentlich übertragen werden.
Portario ist bewusst klein und deutsch gebaut. Es gibt einen Anbieter, ein Rechenzentrum und einen Vertrag. Der AVV liegt fertig vor und wird zum Start unterschrieben, nicht nachgereicht.
Diese Seite nennt auch, was nicht da ist. Ein Datenschutzbeauftragter merkt es sowieso, und eine Liste ohne Lücken wäre unglaubwürdig.
Ein Rechenzentrum, in Deutschland
Portario läuft bei der Hetzner Online GmbH im Rechenzentrum Falkenstein, Sachsen. Die Verbindung ist durchgehend verschlüsselt (HTTPS), die Datenbank liegt auf demselben Server und ist von außen nicht erreichbar. Gesichert wird täglich; dass sich eine Sicherung tatsächlich zurückspielen lässt, wurde geprüft und nicht nur angenommen.
- Server in Falkenstein, Sachsen
- Verschlüsselte Verbindung, Datenbank nicht öffentlich
- Tägliche Sicherung mit nachweislich getestetem Zurückspielen
Wer hat welche Daten gesehen und geändert
Jede Änderung an einem Datensatz wird mit Zeitpunkt, Person, altem und neuem Wert festgehalten. Rollen und Rechte bestimmen, wer was sieht; auf Wunsch sieht ein Mitarbeiter nur seine eigenen Datensätze. Greift der Anbieter zur Unterstützung auf Ihre Organisation zu, wird jeder solche Zugriff protokolliert und ist für Sie sichtbar.
- Lückenloser Änderungsverlauf
- Rollen, Rechte und einschränkbare Sichtbarkeit
- Support-Zugriffe des Anbieters werden protokolliert
Auskunft und Löschung als Knopf, nicht als Projekt
Fragt eine Person nach ihren Daten oder verlangt deren Löschung, haben Sie eine Frist. Portario stellt die Auskunft zu einer Person als Datei zusammen und löscht auf Wunsch endgültig, also nicht nur ausgeblendet. Gelöschtes wandert zuerst in den Papierkorb, damit ein Fehlklick keinen Datenverlust bedeutet.
- Auskunft nach Art. 15 als Datei
- Endgültige Löschung nach Art. 17
- Papierkorb als Schutz vor dem Fehlklick
Offen gesagt: was Portario nicht hat
- Keine ISO-27001-Zertifizierung und kein Prüfsiegel. Portario wird von einem kleinen Anbieter betrieben, nicht von einem Konzern mit Auditbudget.
- Die Sicherungen liegen auf demselben Server wie das System; eine räumlich getrennte Zweitkopie besteht derzeit nicht. Das ist bewusst so entschieden und im AVV offengelegt, statt darin unterzugehen.
- Die Datenträger selbst sind nicht verschlüsselt. Der Schutz beruht darauf, dass Netz und Zugriff abgeschottet sind, und auf der physischen Sicherung des Rechenzentrums.
- Kein externer Penetrationstest. Die Sicherheit prüfen wir laufend selbst; ein Test durch einen unabhängigen Dritten hat bisher nicht stattgefunden.
- Wird das optionale KI-Modul genutzt, verarbeitet Amazon Web Services die betreffenden Texte als Unterauftragnehmer, und zwar über Amazon Bedrock ausschließlich in EU-Rechenzentren (primär Frankfurt). Ohne dieses Modul verarbeitet kein weiterer Dienstleister Ihre Daten in unserem Auftrag.
- Die Rechtstexte und der AVV wurden im August 2026 anwaltlich geprüft; spätere Ergänzungen lassen wir nachprüfen. Ihr Datenschutzbeauftragter kann sie selbstverständlich zusätzlich prüfen. Der AVV legt alles offen, was er dafür braucht.
Für Ihre IT und Ihren Datenschutzbeauftragten
Hosting, Verschlüsselung, Zugriff, Sicherung, Datenflüsse und die Punkte, die Portario nicht hat. Fünf Seiten, ohne Anmeldung. Wird bei jeder neuen Version automatisch aktualisiert.
Häufige Fragen
Bekomme ich einen Auftragsverarbeitungsvertrag?
Ja. Der AVV nach Art. 28 DSGVO liegt vor, mit Verarbeitungsübersicht, technisch-organisatorischen Maßnahmen und der Liste der Unterauftragnehmer. Er wird zum Start geschlossen, nicht auf Nachfrage nachgereicht.
Werden Daten in die USA übertragen?
Nein. Hosting und Datenbank liegen in Deutschland, die verwendete Schrift wird selbst ausgeliefert statt von einem Google-Server geladen, und es sind keine Analyse- oder Werbedienste eingebunden. Auch das optionale KI-Modul läuft über Amazon Bedrock ausschließlich in EU-Rechenzentren (primär Frankfurt). Mit aktivierter KI werden also keine Daten in die USA übertragen. Anders ist es nur bei Anbindungen, die Sie selbst einrichten oder auslösen, etwa dem Kalender-Abgleich mit Google oder Microsoft 365, Benachrichtigungen in Slack oder Teams oder dem Öffnen einer Tour in Google Maps. Diese laufen über Ihre eigenen Konten bei diesen Anbietern.
Wie steht es mit Tracking und Cookies?
Es gibt kein Tracking, keine Werbenetzwerke und keine Analyse-Dienste Dritter. Gespeichert wird im Browser nur, was für den Betrieb nötig ist: Anmeldung, gewähltes Design, Sprache und ähnliche Ansichtseinstellungen. Schaltet Ihr Administrator „Offline für unterwegs“ frei, liegen ausgewählte Kundendaten zusätzlich verschlüsselt auf dem eingerichteten Gerät. Deshalb gibt es auch kein Einwilligungs-Banner.
Was passiert mit unseren Daten, wenn wir kündigen?
Sie exportieren Ihren Bestand jederzeit selbst als CSV. Auf Wunsch stellt der Anbieter den vollständigen Export bereit und löscht danach die Organisation samt aller Daten.
Für andere Ausgangslagen
Portario lässt sich anpassen. Hier sind die übrigen Beispiele.
Technischer Vertrieb
CRM für den technischen Vertrieb: neben dem ERP, ohne Einführungsprojekt
Mehr erfahrenHandwerk
CRM für Handwerksbetriebe: Serviceanfragen, die nicht untergehen
Mehr erfahrenHausverwaltung
CRM für Hausverwaltungen: Anliegen, Verträge und Fristen an einem Ort
Mehr erfahrenSoftwareanbieter
CRM für Softwareanbieter: Support, Versionen und Kunden an einem Ort
Mehr erfahrenExcel ablösen
Kundenverwaltung in Excel ablösen, ohne Ihre Struktur aufzugeben
Mehr erfahrenPasst das zu Ihrem Betrieb?
Erzählen Sie uns kurz, wie Sie heute arbeiten. Wir melden uns mit einer ehrlichen Einschätzung und einer persönlichen Demo.